專家解讀ARP病毒（四）

【編者按：前文，我們講述了對中了ARP病毒電腦的定位方法，這裡我們向大家介紹對ARP病毒電腦的查殺方法。】

六、ARP病毒電腦的查殺方法

通過上述的方法，已經找到了ARP中毒電腦，那麼接下來的操作就是如何殺毒了。有一點需要注意的是：當找到中毒電腦後，應該立即拔掉中毒電腦的網線，以免其繼續發包幹擾全網的運行。

對於ARP病毒電腦的查殺辦法，首先可以利用殺毒軟體殺毒，但是由於現在病毒變種極其繁多，有可能遇到殺毒軟體查不出來的情況，這時候就需要藉助手工殺毒的辦法了，下面介紹一些經驗。

根據一些經驗，較老類型的ARP病毒運行特徵比較隱蔽，電腦中毒時並無明顯異常現象，這類病毒運行時自身無進程，通過注入到Explorer.exe進程來實現隱藏自身。其註冊表中的啟動項也很特殊，並非常規的Run索引值載入，也不是服務載入，而是通過註冊表的AppInit_DLLs 索引值載入實現開機自啟動的，這一點比較隱蔽，因為正常的系統AppInit_DLLs索引值是空的。也正由於這個特點，利用Autoruns這個工具軟體就可以快速掃描出病毒檔案體，如圖9。

圖9 Autoruns工具檢測出病毒檔案主體

上圖中紅色框內的部分，就是ARP病毒檔案主體，該檔案雖然副檔名為log，看似很像是系統記錄檔，但其實，它是一個不折不扣的病毒！除了Log形式的病毒檔案，還有一些以Bmp作為副檔名的病毒檔案，同樣，這些病毒檔案也不是圖片檔案，而是EXE格式的可執行檔，在同目錄下還有同名的dll檔案，這些都是病毒體。

%WinDir% KB*.log

或者

%WinDir% *.bmp

%WinDir%同名.dll

如何區別正常的log記錄檔，bmp圖片檔案和病毒檔案呢？其實很簡單，用記事本程式開啟該檔案，查看其檔案頭是否有“MZ”的標記即可，如圖10就是一個名字為“KB896475.log”的病毒檔案。

圖10 一個ARP病毒檔案體

找到這些檔案後，可以先清除註冊表中的相關索引值，然後重啟系統到安全模式下，手動刪除檔案即可。

對於最近多發的，修改WEB請求頁面的新型ARP病毒，則改變了病毒檔案的表現形式，現對簡單，利用系統進程查看和啟動項查看註冊表的Run索引值，可以明顯發現病毒的檔案，另外，利用KV 的未知病毒掃描程式進行檢測，也是一個好辦法。